⏰专测时间⏰
4月21日-5月6日
提交报告标题备注【豆包专测】
专测范围
豆包APP
豆包PC
豆包浏览器插件
豆包Web
抖音内豆包智能助手
奖励方案
专测范围内有效严重、高危漏洞/情报3倍积分
专测范围内有效中危漏洞/情报 1.5倍积分
重点收取的漏洞类型
直接获取核心系统权限的漏洞：
包括但不限于服务器环境的远程命令执行漏洞、任意代码执行漏洞、SQL 注入获取系统可执行权限、回显SSRF获取系统权限（需通字节内网）
泄露大量核心敏感数据的漏洞/情报：
包括但不仅限于核心 DB（身份信息、账密）的 SQL 注入、权限绕过、可获取大量核心用户的身份信息、账户信息、数字分身、用户原始音色、用户和智能体聊天记录等接口漏洞引起的敏感信息泄露；（敏感数据界定：身份信息、银行卡号、手机号、账密、详细地址等需至少2种数据类型关联）。
重大影响的逻辑漏洞：
包括批量任意账号密码重置、任意用户登录等。
敏感数据定义
补充说明：
-数据泄露对应量级：严重>100万条、高危>5000条
-除数据泄露量级外，是否可获取指定用户的信息、是否可遍历以及遍历难度等均作为评级依据；
-以上仅为ByteSRC为帮助白帽子理解漏洞定级和危害进行的基础划分，不作为豆包官方的数据级别的定义和参考；
-豆包客户端/插件本身的漏洞均以目前业务最新版为准。本次专测不收取的范围
治理中专项包含的风险不在此次专项收取范围。
非隐私数据泄露相关的AI服务风险暂不收取（jail break，prompt leak，模型幻觉等）。
个人用户从 Coze发布至豆包的智能体及插件所引发的安全漏洞不在此次专项收取范围。
沙箱环境的代码执行/命令执行本身是符合预期的，如果能够造成进一步危害则正常评分。
计划下线中/测试中的业务模块将酌情降级或者忽略。
请各位师傅严格遵守「字节跳动安全响应中心安全报告处置规则V6.0」测试规范。
更多专测活动进行中，欢迎师傅们关注👇
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...